たぶん、スパイやデータの抜き取り、コントロールのために脆弱性のあるアップデートを押し付けて、エンドユーザーのマシンにバックドアを仕掛けてるんじゃないかな。

同意。サプライチェーン攻撃は怖いよね。NPPでいろんな秘密を開いてるけど、全部漏れちゃったのかな？

誰がターゲットになったのかも気になる。今のメッセージはすごく曖昧だね。

詳細は下のリンクにあるよ：https://www.heise.de/en/news/Notepad-updater-installed-malwa... https://doublepulsar.com/small-numbers-of-notepad-users-repo... 要するに、Notepad++の8.8.7バージョンまでは、開発者が自己署名証明書を使ってたんだ。これがGithubのソースコードにあったんだよね。著者はベストプラクティスを守らなかったから、こうなった。で、「良いニュース」としては、攻撃はかなりターゲットを絞ったもので、アジアの人たちに対するキーボード操作を伴う攻撃だったみたい。ホスティング会社を責めるのはちょっと怪しいよね。著者も少なくともある程度の責任はあるはずだから。

そうそう、Notepad++はアップデートで政治的なメッセージを発信することで有名だよね。台湾やウクライナとか。

それとこれね https://notepad-plus-plus.org/news/v781-free-uyghur-edition/ 彼らのGHページが中国語で書かれた問題で溢れてたのをはっきり覚えてる。

同じように、これらのアプリが自動でアップデートすることに不安を感じてる。安全にできることは分かってるけど、こういう会社がそのためにエンジニアリングの努力をしてるとは思えない。

大企業がこの問題に免疫があると思ってるなら、痛い目見るよ。

なんでみんな—絶対に全員—Little Snitchを使わないの？俺には、macOSユーザーがこんなネットワークファイアウォールを使わない理由が全く理解できない。不要なHTTP(s)リクエストをブロックするために、WiresharkやBurp Suite Professional（またはCommunity版）などのツールでパケットを簡単に確認できるし、macOSエコシステムには他にもたくさんのプロキシツールがあるよ。これはmacOS特有のことじゃなくて、WindowsやLinux、他のOSでも可能なんだから。

「アップデートの署名は別のサーバーで検証されるべきだ。そうすれば、ハッカーが両方のサーバーを制御しない限り、見つからずに済む。」いや、それは開発者が持つハードコーディングされたキーにすべきだと思う。できればHSMを使って、キーを失った場合の通知機能もあればいいね。第二のサーバーを追加しても、セキュリティは微増するだけだよ。例えば、開発者のメールがハッキングされたら、攻撃者は両方のホスティングプロバイダーのパスワードをリセットできる可能性が高い。

パッケージマネージャーを使えば、この特定の脆弱性からは守られるけど、もちろんインストーラのバイナリ自体が侵害される可能性はあるよね。

KDEのkateはいい代替品だし、chocolatey経由でインストールできるよ。

Geditって、意外と評価されてない代替案だと思う。

確かに、記事にはいつ始まったのか、どのバージョンが影響を受けたのかは書いてないね。

最新バージョンをダウンロードしてインストールするのがいいよ。古いバージョンの自動更新機能を使うと、署名をちゃんとチェックしないかもしれないから。何か他に侵害されたかどうかは、ターゲットにされたかどうかによるし、ペイロードは各ターゲットに合わせて調整されてるかもしれないから、正確なバイナリにアクセスしない限りわからないよ。残念ながら、自動更新機能でダウンロードしたバイナリは、ダウンロードフォルダに残らないことが多いんだよね。

明確に狙われた可能性もあるけど、古いバージョンのNotepad++には「不十分な更新検証コントロール」があったって言ってたから、実際に影響を受けたのは一部のユーザーだけだったのかもしれないね。